Lösenordsstyrkekontroll

Vad checklistepoängen belönar

Utlåtandet kommer från en enkel poäng mellan 0 och 6. Var och en av dessa ger en poäng:

Längden står för tre av de sex poängen på egen hand, eftersom längd är den enskilt största faktorn för verklig styrka.

Så uppskattas entropi och knäcktid

Entropi är antalet bitar som skulle krävas för att beskriva lösenordet om varje tecken vore slumpmässigt: length × log2(alphabet size). Alfabetets storlek summerar de klasser du använt: 26 för gemener, 26 för versaler, 10 för siffror och 33 för vanliga symboler, så ett lösenord som använder alla fyra hämtar ur 95 möjliga tecken.

Uppskattningen av knäcktiden förutsätter en angripare offline som redan har den stulna hashen och kan pröva ungefär 10 miljarder (10^10) gissningar per sekund på snabba konsument-GPU:er. Den siffran motsvarar svaga, snabba hashar som MD5 eller SHA-1. Hashar som är långsamma genom design, som bcrypt eller Argon2, sänker den takten med en faktor på miljoner, så samma lösenord är långt säkrare där sådana används.

Vad det här verktyget kontrollerar och inte kontrollerar

• Det kontrollerar längden, vilka teckenklasser som finns, den råa entropin i bitar och en uppskattning av knäcktiden utifrån den entropin.
• Det kontrollerar inte ditt lösenord mot ordlistor, listor över läckta lösenord, tangentbordsmönster (qwerty, 1qaz2wsx) eller vanliga utbyten (p@ssw0rd). Ett lösenord kan klara varje teckenklasskontroll och ändå vara trivialt att gissa om det är ett känt ord eller ett läckt lösenord.

Betrakta poängen som ett golv, inte en garanti: den talar om för dig att ett lösenord är för kort eller för enkelt, men en hög poäng bevisar inte att lösenordet är oförutsägbart.

Vad som faktiskt gör ett lösenord starkt

1. Längd först. Varje extra tecken är värt mer än någon annan enskild ändring. Ett slumpmässigt lösenord på 14 tecken slår ett komplext på 8 tecken varje gång.
2. Slumpmässighet. Folk hittar på dålig entropi i huvudet. Låt en generator välja tecknen.
3. Sprid ut variationen. Placera siffror och symboler var som helst, inte bara påklistrade i slutet där knäckare förväntar sig dem.
4. Ett lösenord per sajt. Ett starkt lösenord som återanvänds på 50 konton är bara så säkert som den svagaste sajten som lagrar det.

Den säkra rekommendationen

• Använd en lösenordshanterare för att skapa och lagra ett unikt slumpmässigt lösenord på 16 tecken eller mer för varje sajt.
• Använd en lösenfras på 5 till 8 slumpmässiga ord för de få lösenord du måste skriva för hand, som huvudlösenordet till din lösenordshanterare.
• Slå på tvåfaktorsautentisering överallt där det erbjuds.
• Kolla pwnedpasswords.com innan du fortsätter återanvända något lösenord, eftersom det här verktyget inte kan se om ditt redan har läckt.